El grupo APT utiliza principalmente servicios legítimos como Slack para la comunicación C&C, lo que le permite permanecer bajo el radar de las medidas de seguridad tradicionales.

Su arsenal incluye una variedad de herramientas sofisticadas, como LaxGopher, un cargador personalizado capaz de ejecutar comandos a través del símbolo del sistema, descargar y ejecutar cargas útiles adicionales, y exfiltrar datos de las víctimas.

• LaxGopher
• JabGopher, un inyector de DLL diseñado para cargar la puerta trasera LaxGopher en la memoria de una nueva instancia de svchost.exe.
• CompactGopher, un recolector de archivos escrito en Go que puede comprimir archivos desde la línea de comandos y enviarlos al servicio de intercambio de archivos file.io utilizando una API REST pública.
• RatGopher, una puerta trasera basada en Go que usa Discord para la comunicación C&C, permitiéndole abrir nuevas instancias del símbolo del sistema y subir o descargar archivos.

Las tácticas, técnicas y procedimientos (TTPs) del grupo APT demuestran un alto nivel de sofisticación, lo que indica una inversión significativa de recursos y experiencia. Su uso de servicios legítimos dificulta que los defensores detecten su actividad, destacando la importancia de la vigilancia continua y la adaptabilidad en el panorama actual de amenazas. En total, el grupo APT ha infectado aproximadamente 12 sistemas dentro de la institución gubernamental mongola víctima, con docenas de otros objetivos potenciales probablemente afectados también. Debido a la naturaleza distintiva de las TTPs del grupo y su enfoque en objetivos específicos, los investigadores han decidido atribuir este conjunto de herramientas a un nuevo grupo APT, denominado GopherWhisper. Este desarrollo subraya la naturaleza evolutiva de las ciberamenazas y la necesidad de una innovación y cooperación continuas entre los profesionales de la seguridad para mantenerse por delante de las amenazas emergentes. A medida que el panorama de amenazas sigue evolucionando, es esencial que las organizaciones permanezcan vigilantes y proactivas en sus esfuerzos de seguridad, aprovechando las últimas tecnologías y mejores prácticas para protegerse contra amenazas en constante cambio como GopherWhisper.

Fuentes:
https://www.news4hackers.com/china-linked-apt-gopherwhisper-exploits-legitimate-services-for-govt-hacking/